Euer Team nutzt längst KI. Die Frage ist nur, wer davon weiß

Fragt man in einem Marketingteam, ob dort KI eingesetzt wird, kann es gut sein, dass zwei Antworten gleichzeitig stimmen. Die Teamleitung sagt, man sei noch in der Testphase und zwei Plätze weiter nutzt jemand seit Monaten ChatGPT für Produkttexte, eine Kollegin übersetzt Fachinformationen mit einem KI-Übersetzer und im Social-Team läuft ein Bildgenerator, den irgendwer privat abonniert hat. Niemand will dabei etwas falsch machen, alle wollen nur schneller fertig werden.

Das nennt man Schatten-KI und sie entsteht nicht, weil Menschen Regeln umgehen wollen, sondern weil es keine gibt und weil das Werkzeug schneller im Alltag angekommen ist als die Entscheidung darüber.

Warum Verbieten nicht funktioniert

Die naheliegende Reaktion ist ein Verbot, bis alles geklärt ist. Ich halte das für den teuersten Weg, weil er nichts klärt, sondern die Nutzung nur unsichtbarer macht. Wer seine Texte vorher offen mit KI vorbereitet hat, macht es danach heimlich auf dem privaten Handy und damit landen genau die Daten in fremden Tools, die man eigentlich schützen wollte.

Dazu kommt, dass ein Totalverbot im Marketing den Abstand zum Wettbewerb nur vergrößert. Die Frage ist also nicht, ob euer Team KI nutzt, sondern ob ihr wisst, wo, womit und mit welchen Daten.

Der erste Schritt ist eine Inventur

Bevor irgendjemand eine Leitlinie schreibt, braucht es einen ehrlichen Blick auf den Ist-Zustand. Welche Tools sind im Einsatz, offiziell und inoffiziell? Wer nutzt sie, wofür und mit welchen Inhalten? Und welche davon arbeiten mit Daten, die das Unternehmen eigentlich nicht verlassen sollten, also Kundendaten, unveröffentlichte Studienergebnisse oder interne Planungen?

Diese Inventur funktioniert nur, wenn sie ohne Vorwurf läuft. Wer fürchten muss, für seine bisherige Nutzung Ärger zu bekommen, gibt sie nicht an. Ich empfehle deshalb, das Gespräch nicht als Kontrolle aufzusetzen, sondern als Bestandsaufnahme, aus der am Ende bessere Werkzeuge für alle entstehen.

Und vergesst die Partner nicht. Die Agentur, die Freelancerin und der Dienstleister für die Website arbeiten mit KI in eurem Auftrag und ihre Tools gehören in dieselbe Liste.

Danach kommt die Freigabe

Aus der Inventur wird ein Freigabeprozess und der muss nicht kompliziert sein. Für jedes Tool klärt ihr, in welche Risikoklasse des EU AI Act der geplante Einsatz fällt. Ein Textentwurf mit ChatGPT oder eine Rechtschreibprüfung liegen im minimalen Risiko, ein Chatbot auf der Website fällt unter die Transparenzpflicht und sobald KI über Menschen entscheidet, etwa bei der Auswahl von Bewerbungen, wird es Hochrisiko. Wo ein Tool als Produkt reguliert ist, gehört auch ein Blick auf die Konformitätserklärung dazu.

Dann legt ihr fest, wer verantwortlich ist, nämlich gleich zweifach. Ein Tool-Owner kümmert sich um das Werkzeug selbst, um Zugänge, Kosten und Updates. Ein Daten-Owner entscheidet, welche Inhalte in das Tool dürfen und welche nicht. In kleinen Teams ist das oft dieselbe Person, aber die beiden Fragen sollten trotzdem getrennt gestellt werden.

Was in diesem Prozess nicht vorkommt, ist das sofortige Ausrollen eines Tools an alle, nur weil es günstig war oder ein Kollege begeistert ist. Ein Preisvergleich ist keine Freigabe.

Was das mit Silos zu tun hat

Schatten-KI ist am Ende dasselbe Muster, das ich im Pharma-Marketing an vielen Stellen sehe. Jede Abteilung löst ihr Problem für sich und optimiert sauber ihren eigenen Teil, nur sieht niemand das Ganze. Die Brand nutzt ein Tool, Digital ein anderes und die PR ein drittes und am Ende gibt es drei verschiedene Arten, mit denselben Daten umzugehen. Eine Inventur ist deshalb nicht nur ein Compliance-Schritt, sondern oft das erste Mal, dass ein Team gemeinsam auf seine Arbeitsweise schaut.

Einordnung Stand Oktober 2026, keine Rechtsberatung. Quellenbasis: Verordnung (EU) 2024/1689 (KI-Verordnung / EU AI Act), insbesondere Art. 4 und die Risikoklassen, in der Fassung des Digital Omnibus (2026).